攻防世界web

前言

准备ctf比赛，这里把攻防世界分值低于5分的基本刷了一遍（分值再高刷不动了…）

练习

view_source

没难度知识禁用了右键点击，ctrl+u查看源码拿到flag
get_post
这题没什么好说的，按着提示来就能拿flag

但我发现下面的hackbar不能用后用burp来进行post传参不返回flag…迷了我很久…
结果我下了左边那个hackbar后重来一遍，结果就返回flag了，很迷，我burp肯定没用错啊…
robots
这道题也没什么好说的啊，考一个robots协议的理解（~~就是在玩爬虫时我们从来没有理会的一个协议…~~），这里查看robots协议，看到flag的php访问拿到flag
backup
这道题还是有点意思，考查一个备份文件，因为前面刚看了源码泄露方面的东西，结果这里一来就直接想到了vim的文件备份结果试~，没有…这时候一看人家也没提示说vim，正常的备份一般是加，.bak（比较常见的方法，当然手动备份也可以自己来取名，但程序员我感觉还是会偏向于统一）然后访问就可以下载到备份文件，查看文件拿到flag

参考：备份文件：被低估的Web威胁
cookie
这道题也没什么说的，访问网页检查元素查看cookie，看到cookie.php，然后直接访问
看到提示说查看response，响应头就藏着flag
disabled button
这道题也没什么意思，有个按钮，查看源码可以发现是个input输入框，那直接post发送数据过去就得到flag了
simple js
从题目就可以看出是一道javascript题
访问页面，查看源码，可以看到js代码

分析得到下面的16进制的字符就是flag内容…（js确实有待学习加强，这里看了好久…）
xff referer
这道题也是比较初级的
我是用两个插件解决的
第一个它要求ip是123.123.123.123，我用的是X-Forwarded-For Header,
第二个要求是来自 www.google.com 这个用hackbar添加的Referer
当然直接抓包添加
X-Forwarded-For: 123.123.123.123
Referer: www.google.com
这两个参数也行
weak auth
这道题是个弱密码题，随便尝试登录，会告诉你用admin来登录
然后查看源码会提示你需要一个字典，这就很容易想到暴力破解了吧
这里用burp来尝试暴力破解

可以看到密码是123456的时候返回长度与别的都不一样，尝试用admin，123456来登录，登录成功获得flag
webshell
这道题考查菜刀的使用，用过的话就没什么难度
题目描述中提示了一句话木马是index.php，访问网页看到一句话是\<?php @eval($_POST[‘shell’]);?> ，得到’密码‘是shell，菜刀连接，文件管理就可以看到flag了
command execution
刷过dvwa应该都知道这个漏洞，这也和dvwa的low级别没什么差别
这里先127.0.0.1 & find / -name “flag.*” 来查找flag文件的位置（找不到的话可以试下找flag文件）
然后看下图可以发现找到了

然后cat 文件得到flag
simple php
代码审计，这个代码还是比较简单易懂的

这里看代码就能明白，这里考的是php的\=\=和===
eg : $a = ‘123’; $b = 123; $a === $b为假;$a == $b为真；
ics-06
这道题拿到的时候也没有什么好的思路，主页面点击没什么反应，查看代码后发现点击报表中心会跳转到index.php。跳转后可以看到Get传了一个id值，我这里以为是sql注入，结果没注出来。后面发现，这里是要暴力破解，id等于2333的时候出结果2333
Training-Get_Resourced
这道题直接在描述里提示了看注释就是看页面源码，进入页面也有一行比较淡的字提示看源码，打开源码就能直接得到flag，没什么意思…
Training-WWW-Robots
还是考查robots协议啊，访问robots.txt那里不让访问就去访问那里，就得到flag
NaNNaNNaNNaN-Batman
这道题对我还是挺难的，因为不怎么会（不会）js…
题目是给了个附件，以为是代码审计，也确实是代码审计，不过里面是乱码，但不全是乱码，能看出\

攻防世界web

攻防世界web

前言

练习

源码泄露

超菜鸟级ctf5

Kid